Chia sẻ một lần đăng nhập VPN với gia đình: điều gì hỏng về sau

Sao chép một tên người dùng và mật khẩu VPN sang thiết bị thứ hai chỉ mất một phút và chạy tốt, và chính vì thế mà các vấn đề mới lộ ra sau nhiều tháng. Thông tin đăng nhập bạn đã trao thường kiểm soát nhiều hơn một đường hầm: nó có thể sở hữu gói thuê bao, hộp thư khôi phục và danh sách thiết bị. Trước khi điện thoại thứ hai kết nối, hãy làm rõ đăng nhập thực sự cho phép điều gì và cách gỡ một thiết bị mà không đụng đến những thiết bị khác.

Một mật khẩu, nhiều quyền khác nhau

Các tài khoản VPN thương mại thường gói ba thứ sau một lần đăng nhập: thông tin đường hầm, hồ sơ thanh toán hoặc gói cước và kênh khôi phục tài khoản. Chia sẻ thứ đầu tiên là quyết định kết nối; chia sẻ hai thứ còn lại là trao quyền kiểm soát gói thuê bao. Nhiều nhà cung cấp giữ chúng trên cùng thông tin cho đến khi bạn chủ động tách ra, nên câu hỏi không phải là mật khẩu có chạy trên hai thiết bị hay không, mà là nó mở ra điều gì khác. Hãy hỏi nhà điều hành xem đăng nhập kiểm soát thứ nào trong ba, và liệu có thể chỉ định một chủ tài khoản thanh toán hoặc địa chỉ khôi phục riêng. Câu trả lời duy nhất đó quyết định bạn thực sự trao đi bao nhiêu phần của tài khoản.

Về phía máy chủ, tài khoản là một dòng có gói cước và bộ đếm kết nối. Ứng dụng khách chỉ là một góc nhìn của dòng đó, và nó không thực thi điều gì mà bạn không thể vượt qua bằng một ứng dụng khách khác. Đó là lý do gói «một thiết bị» vẫn kết nối từ ba thiết bị cho đến khi máy chủ quyết định từ chối phiên thứ tư.

Xác thực hai yếu tố làm câu hỏi về chia sẻ sắc bén hơn. Một bí mật TOTP đăng ký trên bốn điện thoại là bốn bản sao của cùng yếu tố thứ hai, và bất kỳ bản nào cũng có thể đáp ứng lần đăng nhập. Nếu tài khoản hỗ trợ mật khẩu ứng dụng riêng hoặc đăng ký theo thiết bị, hãy dùng chúng; nếu không, hãy coi yếu tố thứ hai dùng chung là điểm yếu đã biết chứ không phải vấn đề đã giải quyết.

Khóa theo thiết bị thay đổi ý nghĩa của việc gỡ bỏ

Các thiết lập tự lưu trữ khác biệt vì danh tính nằm trong cấu hình chứ không nằm trong một dòng tài khoản. Một peer WireGuard là khóa công khai cộng với tập địa chỉ được phép, và máy chủ cho phép bắt tay bằng cách khớp khóa đó. Nếu bạn xóa mục peer, thiết bị không thể hoàn tất bắt tay, bất kể mật khẩu còn giữ là gì.

Mô hình đó cho bạn việc gỡ bỏ sạch sẽ nhưng không có kế toán theo từng người, điều mà WireGuard ghi nhận là hạn chế đã biết. Máy chủ thấy khóa, không thấy thành viên gia đình.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Một triển khai OpenVPN đạt cùng kết quả qua chứng chỉ và danh sách thu hồi: mỗi ứng dụng khách nhận chứng chỉ riêng, và thu hồi một mục để những mục khác tiếp tục hoạt động. Trong cả hai thiết kế, danh tính là theo thiết bị, nên một chiếc điện thoại bị mất là một lần xóa duy nhất thay vì đặt lại thông tin đăng nhập cho cả nhà.

Giới hạn kết nối đồng thời nằm trên máy chủ

Các nhà cung cấp bán «năm thiết bị» thường đếm phiên đồng thời, không đếm ứng dụng đã cài. Hai laptop và một điện thoại có thể ổn trong khi laptop thứ ba đẩy tài khoản vượt giới hạn và một phiên đang có bị ngắt. Ứng dụng khách hiếm khi giải thích điều này, nên triệu chứng trông như kết nối chập chờn chứ không phải ranh giới gói cước.

Đọc điều khoản gói cước để biết quy tắc thực tế trước khi hứa một con số thiết bị. Một số dịch vụ đếm kết nối, số khác đếm thiết bị khác nhau trong một khoảng thời gian, và số khác cho phép con số cao hơn trên cùng mạng cục bộ.

Quyết định luật trong nhà trước thiết bị thứ hai

Hãy viết ra bốn điều: ai giữ hộp thư khôi phục, ai có thể thêm hoặc gỡ thiết bị, ai trả tiền khi gói cước thay đổi, và điều gì xảy ra khi ai đó chuyển đi. Đây là những quyết định chính sách mà không cài đặt ứng dụng khách nào có thể đưa ra thay bạn, và dễ thống nhất hơn nhiều trước khi cần gỡ bỏ khẩn cấp. Đặt câu trả lời ở một nơi mà gia đình có thể tìm thấy, kể cả tên thiết bị nào thuộc về ai. Danh sách tên chính là thứ biến một khóa peer hoặc mật khẩu ứng dụng trở lại thành một người bạn có thể gọi.

Giữ thông tin đường hầm xa khỏi ghi chú dùng chung và lịch sử trò chuyện. Một trình quản lý mật khẩu có kho chung, hoặc thông tin đăng nhập theo thiết bị do nhà điều hành cấp, giữ bí mật có thể chuyển giao mà không để lại bản sao trong ba chuỗi tin nhắn.

Cũng hãy kiểm tra cách dịch vụ xử lý tài khoản có giám sát và bộ lọc gia đình, vì VPN thay đổi đường mạng mà không thay thế kiểm soát phụ huynh hay quản lý thiết bị. Sau đó thử một tác vụ thực tế cho mỗi người: thư, cuộc gọi video, cổng làm việc. Một đường hầm dựng lên không chứng minh rằng tuyến, DNS và quy tắc đường hầm chia tách hoạt động giống nhau trên mọi nền tảng.

Chứng minh đường gỡ bỏ khi vẫn còn dễ

Gỡ bỏ là phần mà mọi người trì hoãn, nên hãy thử nó trên một thiết bị bạn kiểm soát. Thêm một điện thoại hoặc laptop dự phòng, xác nhận nó kết nối, sau đó thu hồi thiết bị đó bằng phương pháp được nhà điều hành ghi lại và xác nhận đường hầm thất bại trong khi những thiết bị khác vẫn chạy.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Một thiết bị đã bị thu hồi phải ngừng với tới địa chỉ nội bộ trong một phiên, chứ không chỉ thất bại khi kết nối lại sau khi khởi động lại. Nếu phiên cũ vẫn chạy, việc thu hồi chưa đến máy chủ, và thông tin đăng nhập vẫn còn hiệu lực.

Ghi kết quả vào ghi chú của nhà vốn đã liệt kê thiết bị, và xem lại khi điện thoại được thay. Cách sắp đặt chỉ còn quản lý được khi danh tính, giới hạn và bước gỡ bỏ đều được viết ra.